Überprüfen Sie die MTA-STS-Konfiguration Ihrer Domain. Stellen Sie sicher, dass Ihre E-Mails mit TLS-Verschlüsselung sicher übertragen werden, und schützen Sie sich vor Downgrade-Angriffen sowie dem Abfangen von Nachrichten.
Skysnag automatisiert die Implementierung und Verwaltung von MTA-STS für Ihre Domain und gewährleistet so, dass Ihre E-Mails stets sicher übertragen werden.
Automatisierte Einrichtung
Erstellen und implementieren Sie MTA-STS-Richtlinien ohne manuelle Konfiguration.
Verwaltung von DNS-Einträgen
Erstellen und Pflegen der erforderlichen DNS-Einträge für MTA-STS
Richtlinien-Hosting
Hosten Sie Ihre MTA-STS-Policy-Datei auf sicheren Servern mit hoher Verfügbarkeit.
TLS-RPT-Integration
Nahtlose Integration mit TLS-RPT für umfassendes Reporting
Stufenweise Einführung
Sicher vom Test- in den Durchsetzungsmodus wechseln, ohne den E-Mail-Verkehr zu beeinträchtigen
Kontinuierliche Überwachung
Überwachen Sie die Wirksamkeit Ihrer MTA-STS-Richtlinie und erkennen Sie Probleme.
MTA-STS (Mail Transfer Agent Strict Transport Security) ist ein E-Mail-Sicherheitsstandard, der Domaininhabern ermöglicht, die TLS-Verschlüsselung für alle eingehenden E-Mails durchzusetzen. Dadurch wird verhindert, dass Angreifer E-Mails durch Downgrade-Angriffe oder Man-in-the-Middle-Techniken abfangen können.
Fordern Sie, dass alle Mailserver, die eine Verbindung zu Ihrer Domain herstellen, TLS-Verschlüsselung verwenden, um die Übertragung von E-Mails im Klartext zu verhindern.
Verhindern Sie, dass Angreifer die E-Mail-Zustellung über unverschlüsselte Verbindungen erzwingen und dadurch Nachrichten abfangen können.
Überprüfen Sie die Gültigkeit der von Mailservern präsentierten TLS-Zertifikate, um Man-in-the-Middle-Angriffe zu verhindern.
Definieren Sie, wie Mailserver mit Zustellfehlern umgehen sollen, wenn TLS-Anforderungen nicht erfüllt werden können.
MTA-STS-Richtlinien können je nach Ihren Sicherheitsanforderungen in unterschiedlichen Modi implementiert werden:
Überwachungsmodus – Fehler melden, aber Nachrichten trotzdem zustellen
Strikter Modus – Zustellung ablehnen, wenn TLS-Anforderungen nicht erfüllt sind
Keine Richtliniendurchsetzung – wird verwendet, um eine bestehende Richtlinie zu entfernen
Sehen Sie die Auswirkungen der Implementierung von MTA-STS mit Skysnag.
100%
TLS-verschlüsselte E-Mail-Zustellung
98%
Reduzierung von Downgrade-Angriffen
24/7
Richtlinienüberwachung und Benachrichtigungen
99.9%
sichere Zustellrate von E-Mails
Vereinbaren Sie ein Gespräch mit einem unserer Experten, um Ihren Bericht zu besprechen. Wir führen Sie durch die festgestellten Probleme, erläutern die Sicherheitslücken und zeigen Ihnen genau, wie Skysnag diese automatisch behebt.
Meine Ergebnisse besprechenSkysnag bietet Ihnen alles, was Sie benötigen, um DMARC durchzusetzen, SPF und DKIM zu automatisieren, MTA-STS und TLS-RPT bereitzustellen sowie BIMI zu aktivieren – damit Ihre E-Mails sicher, konform und vertrauenswürdig sind.
Monitor
E-Mail-Kompromittierungsversuche erkennen und Probleme bei der E-Mail-Zustellung beheben
Comply
Erfüllen Sie die Anforderungen von Microsoft, Google und Yahoo und visualisieren Sie Ihre Versanddaten in Echtzeit.
Protect
Automatisieren Sie die Durchsetzung von DMARC für unvergleichliche E-Mail-Sicherheit
Certify
Zertifizieren Sie Ihre Marke mit dem weltweit höchsten Identitätsstandard
MTA-STS (Mail Transfer Agent Strict Transport Security) ist ein Standard, der andere Mailserver dazu zwingt, Ihnen E-Mails über eine verschlüsselte TLS-Verbindung zuzustellen. Es besteht aus zwei Teilen: einem DNS-Eintrag TXT unter _mta-sts.yourdomain.com und einer Richtliniendatei, die unter https://mta-sts.yourdomain.com/.well-known/mta-sts.txt gehostet wird.
MTA-STS, definiert in RFC 8461, schließt eine Lücke in der E-Mail-Verschlüsselung. Normalerweise ist STARTTLS opportunistisch – ein Angreifer kann es entfernen und Klartext erzwingen. Mit MTA-STS können Sie eine Richtlinie veröffentlichen, die besagt: „Senden Sie mir nur über gültiges TLS“, und konforme Absender lehnen ein Downgrade ab.
Es funktioniert in zwei Teilen. Ein kleiner DNS TXT-Eintrag (v=STSv1; id=...) signalisiert, dass eine Richtlinie vorhanden ist und wann sie zuletzt geändert wurde. Die eigentliche Richtliniendatei, die über HTTPS unter einem festen .well-known-Pfad bereitgestellt wird, listet Ihre Mailserver, den Durchsetzungsmodus und die Zeit auf, die Absender sie zwischenspeichern sollten.
Paaren Sie MTA-STS mit TLS-RPT: MTA-STS erzwingt die Verschlüsselung, TLS-RPT meldet, wenn sie fehlschlägt. Rollout zuerst im testing-Modus (der meldet, aber nicht blockiert), bevor auf enforce umgestellt wird.
MTA-STS besteht aus zwei Komponenten, sodass bei einer vollständigen Überprüfung sowohl der DNS-Eintrag als auch die Richtliniendatei berücksichtigt werden.
Fragen Sie die Unterdomäne _mta-sts ab:
$ dig TXT _mta-sts.example.com +shortRufen Sie die Richtlinie über HTTPS vom festen bekannten Pfad ab:
$ curl https://mta-sts.example.com/.well-known/mta-sts.txtDie Richtlinie muss Ihre echten mx-Hosts und einen mode auflisten. enforce blockiert die Nicht-TLS-Zustellung; testing meldet nur. Der obige Prüfer validiert beide Teile zusammen.
_mta-sts.example.comv=STSv1; id=20261107T000000ZDer DNS-Eintrag MTA-STS. Die von ihm signalisierte Richtliniendatei (unter /.well-known/mta-sts.txt) enthält: Version STSv1, Modus: Enforcement, die MX-Hosts und max_age.
Der DNS-Eintrag hat zwei Tags; Die Richtliniendatei verfügt über eigene Felder.
| Tag | Typ | Bedeutung |
|---|---|---|
v |
Erforderlich (DNS) | Version. Muss STSv1 sein. |
id |
Erforderlich (DNS) | Eine eindeutige Richtlinien-ID; Ändern Sie es jedes Mal, wenn Sie die Richtliniendatei aktualisieren, damit die Absender aktualisiert werden. |
mode |
Erforderlich (Richtlinie) | enforce (Nicht-TLS blockieren), testing (nur Bericht) oder none. |
mx |
Erforderlich (Richtlinie) | Ihre autorisierten Mailserver-Hostnamen. |
max_age |
Erforderlich (Richtlinie) | Wie lange (Sekunden) Absender die Richtlinie zwischenspeichern sollen. |
Gemeinsame MTA-STS-Ergebnisse.
| Ergebnis | Was es bedeutet und was zu tun ist |
|---|---|
| DNS-Eintrag fehlt | Veröffentlichen Sie den Eintrag _mta-sts TXT und die Richtliniendatei zusammen – beide sind erforderlich. |
| DNS-Eintrag vorhanden, aber Richtliniendatei 404s | Absender können die Richtlinie nicht anwenden. Hosten Sie mta-sts.txt im genauen .well-known-Pfad über gültiges HTTPS. |
| Modus: Testen | Sie melden, führen aber keine Durchsetzung durch. Wechseln Sie zu enforce, sobald TLS-RPT keine legitimen Fehler aufweist. |
| MX-Liste ist falsch | Die Lieferung kann unterbrochen werden. Die Richtlinieneinträge mx müssen mit Ihren echten MX-Einträgen übereinstimmen. |
MTA-STS (Mail Transfer Agent Strict Transport Security) ist ein Standard, der von anderen Mailservern verlangt, Ihnen E-Mails über eine gültige TLS-Verbindung zuzustellen und so Downgrade- und Abfangangriffe zu verhindern. Es verwendet einen DNS-Eintrag und eine gehostete Richtliniendatei.
Überprüfen Sie zwei Dinge: den DNS-Eintrag (dig TXT _mta-sts.yourdomain.com +short) und die Richtliniendatei (https://mta-sts.yourdomain.com/.well-known/mta-sts.txt). Beide müssen vorhanden und gültig sein – der Prüfer oben erledigt beides.
Der testing-Modus meldet TLS-Probleme (über TLS-RPT), ohne die Zustellung zu blockieren; Der enforce-Modus lehnt eine Nicht-TLS-Zustellung ab. Beginnen Sie mit testing, stellen Sie sicher, dass keine legitimen E-Mails fehlschlagen, und wechseln Sie dann zu enforce.
Sie ergänzen einander. MTA-STS erzwingt eine verschlüsselte Zustellung; Mit TLS-RPT erhalten Sie tägliche Fehlerberichte. Setzen Sie beides ein, damit Sie sicher zur Durchsetzung gelangen und den Überblick behalten.
